تسريبات البيانات: مشكلة تكلف الشركات البرازيلية ثمناً باهظاً

تعد البيانات الشخصية وبيانات الشركات من أهم أصول الشركات في عام 2024، وهو السيناريو الذي سيبقى في عام 2025. ولهذا السبب يمثل تسرب هذه المعلومات أكثر من خطر فني بحادث أمني بقيمة 50 مليون دولار يؤثر بشكل عميق على الصحة المالية والسمعة العلامات التجارية. بالإضافة إلى النفقات المحتملة مع العقوبات المنصوص عليها في LGPD (القانون العام لحماية البيانات)، والتي يمكن أن تصل إلى 2% من الفواتير أو غرامة R$ 50 مليون بسبب الانتهاك، تواجه الشركات المستهدفة بالتسريبات تكاليف خفية، غالبًا ما يتم الاستهانة بها، مع استعادة الأنظمة والأضرار غير الملموسة للصورة الخارجية والعلاقات العامة.

تخسر الشركات البرازيلية، في المتوسط، 6.75 مليون راند لكل خرق للبيانات، وفقًا لتقرير تكلفة خرق البيانات لعام 2024، الذي أعدته وأصدرته شركة IBM. ومع ذلك، من الناحية العملية، فإن هذا التأثير أكبر، حيث أن الفجوات في حماية المعلومات الحساسة تولد خسائر ذات عواقب أخرى، بالإضافة إلى عواقب قانونية، مثل التهرب من العملاء الذين يهاجرون إلى المنافسين بسياسات أمنية أكثر قوة، وانقطاع العمليات، والاستثمارات الطارئة في العلاقات العامة والأمن السيبراني للتخفيف من حدة الأزمة.

وفقًا للمحامي ماركو زورزي، المتخصص في القانون الرقمي في Andersen Ballao Advocacia، فإن التقدم في تطبيق LGPD وأحدث المعايير في معالجة البيانات يتطلب تعديلات على نظام الشفافية والأمن. تبدأ الوقاية بتحديد البيانات التي سيتم معالجتها في روتين الشركة (أي المعلومات متضمنة، وأين يتم تخزينها ومع من يتم مشاركتها. “فقط مع التدابير اللازمة لرسم خريطة لهذا التدفق، من الممكن تعزيز الوقاية والتصرف فورًا وكفاءة في مواجهة الحوادث الأمنية. وهذا ينطوي على جهود، وخاصة الفرق القانونية وفرق تكنولوجيا المعلومات، كما يقول زورزي.

ومن الجدير بالذكر أنه بالإضافة إلى الغرامة والتحذير، فإن عدم الامتثال لإرشادات LGPD قد يؤدي إلى تعليق قواعد البيانات الشخصية للشركة لمدة تصل إلى ستة أشهر، والإعلان عن الانتهاك وحظر ممارسة أنشطة معالجة المعلومات، والتي قد تكون كلية أو جزئية.

وفقًا للخبير، فإن اللوائح الجديدة الصادرة عن ANPD (الهيئة الوطنية لحماية البيانات) بشأن دور مراقب البيانات، والإبلاغ عن الحوادث الأمنية والنقل الدولي للبيانات ترفع مستوى مسؤولية الشركات.

هجمات القراصنة

تم تعزيز الحاجة الملحة للتعرف على المخاطر والتصرف بطريقة وقائية من خلال قرار الدرجة الثالثة لمحكمة العدل العليا (STJ)، الذي حمل إليتروبولو المسؤولية عن تسرب البيانات الناتج عن غزو القراصنة.

وخلصت المحكمة إلى أنه حتى في حالات الهجوم الإجرامي، يظل التزام الشركة بحماية البيانات كما هو. واستند القرار إلى المادتين 19 و43 من قانون LGPD، اللتين تحددان اعتماد التدابير الفنية والإدارية المناسبة لحماية البيانات.